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Betreft BIT-advies Operatie BRP 


Geachte heer Buitendijk, Beste Gert-Jan, 

In de periode tussen 1 juli en 1 september 2015 is door het Bureau ICT-Toetsing 
(BIT) een toets uitgevoerd op het programma 'Operatie BRP' (oBRP). Dit 
programma wordt uitgevoerd onder verantwoordelijkheid van het Ministerie van 
Binnenlandse Zaken en Koninkrijksrelaties/DGBK. Wij hebben kennis genomen 
van de ons verstrekte documentatie en gesproken met een aantal betrokkenen. 

Wij danken alle personen die we in het kader van dit onderzoek hebben gesproken 
voor hun openheid en constructieve inbreng. 

Het huidige programma oBRP is gestart eind 2013, als doorstart van het 
programma mGBA (modernisering van de GBA, de gemeentelijke 
basisadministratie). Het programma realiseert een nieuwe Basisregistratie 
Personen (BRP), zet de gegevens vanuit de huidige GBA om en is 
eindverantwoordelijk voor de implementatie van de nieuwe BRP bij gemeenten en 
afnemers. Wanneer de voorzieningen in productie gaan wordt de Rijksdienst voor 
Identiteitsgegevens (RvIG) verantwoordelijk voor het beheer ervan. Daarnaast is 
RvIG verantwoordelijk voor het feitelijk aansluiten van gemeenten en afnemers en 
voor de implementatieondersteuning aan afnemers na de koploperfase. Tijdens 
de transitie wordt de gegevensuitwisseling in zowel GBA-formaat als in BRP- 
formaat ondersteund. Gedurende deze 'duale periode' zijn sommige afnemers en 
gemeenten aangesloten via het GBA-koppelvlak en anderen via het BRP- 
koppelvlak. 

Het programma kent een roerige geschiedenis die we buiten beschouwing laten. 
Wij hebben ons bezig gehouden met de vraag of het programma in de huidige 
vorm tot een goed resultaat kan komen. 

We zijn van mening dat het programma succesvol afgerond kan worden op basis 
van de huidige besturing en aanpak, mits een aantal risico's en onzekerheden 
nadrukkelijker gemanaged worden. Hiervoor adviseren we een aantal concrete 
maatregelen. 
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EEN AANTAL RISICO'S EN ONZEKERHEDEN OM TE MANAGEN 

Wij vinden dat het programma naar haar omgeving nog onvoldoende transparant 
is geweest over de kwetsbaarheden en onzekerheden in de planning. Volgens ons 
is de omgeving mede daardoor onvoldoende terughoudend met wijzigingen. We 
constateren tevens dat uitvoerders en beheerorganisatie nog onvoldoende zijn 
voorbereid op hun rol. Onderstaand lichten we de risico's en onzekerheden nader 
toe. 


A. Verstoring van het programma door wijzigingen 

De politiek lijkt nog steeds onvoldoende doordrongen van het feit dat wijzigingen 
tijdens de uitvoering van het programma grote gevolgen hebben. Deze wijzigingen 
leiden vaak tot grote verstoringen in het programma, zijn zeer kostbaar en 
vertragen de oplevering. Voorbeelden zijn de twee wijzigingen die doorgevoerd 
moeten worden en waarvan de impact nog niet volledig is bepaald (t.w. L03.9 en 
het Buitenlands Persoonsnummer). Dit type wijzigingen heeft effect op het 
ontwerp van de oplossing (gegevensmodel, functionaliteit en koppelingen) en 
daarmee ook op de realisatie, de test, de gegevensmigratie en de implementatie. 

B. De incomplete planning leidt tot het beeld dat operatie BRP niet in 
con trol is. 

De oBRP trekt veel aandacht in de politiek en de media. Wanneer het programma 
een afwijking meldt, ontstaat snel het beeid dat de programmaleiding 
onvoldoende in control is over het programma, met mogelijk overhaast ingrijpen 
als gevolg. De onzekerheid rondom het programma wordt gevoed door een 
onvolledig beeld van de planning en een gebrek aan transparantie over de 
onzekerheden in de planning. In oBRP is de onzekerheid in deze fase groter dan 
bij vergelijkbare projecten als gevolg van het feit dat onvolledig gedocumenteerde 
code uit eerdere fasen van het programma in de oplossing wordt verwerkt. Deze 
onzekerheid hoeft geen teken te zijn dat het programma nu niet in control is. 
Duidelijkheid over de planning én over de onzekerheden is belangrijk om 
misverstanden te voorkomen. Beleidsmakers dienen zich ervan bewust te zijn dat 
de planning geen absoluut gegeven is en dat afwijkingen te verwachten zijn. 
Voorbeelden van afwijkingen zijn de twee wijzigingen die doorgevoerd moeten 
worden, zonder dat deze opgevangen kunnen worden door de inzet van extra 
capaciteit. Volgens ons is een overschrijding van de huidig geplande doorlooptijd 
en kosten onvermijdelijk, gezien de nog te verrichten werkzaamheden voor de 
realisatie en de implementatie. 

C. De complexiteit van delen van het ontwerp heeft een negatieve 
invloed op de realisatie van de BRP software, de beheerbaarheid en 
toekomstvastheid. 

Het ontwerp van de BRP is op plaatsen zeer complex. Dit komt deels door de 
complexiteit van wet- en regelgeving (historie, protocollering en autorisatie) en 
deels door de beleidsinterpretatie ervan (de'fiatteringsknop'). Mede daardoor 
hebben wij de stellige indruk dat het ontwerp van de oplossing complexer is 
geworden dan noodzakelijk. Dit heeft effect op de benodigde inspanning voor de 
realisatie van de software en op de doorlooptijd bij het doorvoeren van 
toekomstige wijzigingen. De complexiteit heeft ook effect op het beheer van de 
software. Het is niet duidelijk of de oplossing voldoet aan de eisen die vanuit de 
beheerorganisatie aan de oplossing worden gesteld ten aanzien van performance, 
beheerbaarheid en toekomstvastheid. 
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D. Het beheer van de oplossing is niet tijdig geregeld 

Wij vinden intensieve betrokkenheid van de beheerorganisatie bij het ontwerp en 
de bouw van de BRP cruciaal. Wij constateren dat de RvIG momenteel 
onvoldoende weet wat er op hen af komt en onvoldoende betrokkenheid toont bij 
de realisatie van het programma. De RvIG is pas recent dichter bij het 
realisatieteam betrokken. Wij vragen ons af of de RvIG in staat is om de 
beheertaak tijdig goed te kunnen voorbereiden. Het ontwerp van de nieuwe BRP is 
namelijk fundamenteel anders dan de huidige GBA-V. Bovendien wordt tijdens de 
duale periode een groot beroep gedaan op de kennis en kunde van de 
beheerorganisatie omdat deze dan verantwoordelijk is voor de uitrol én het beheer 
van de BRP. 

E. Onderschatting van de voorbereiding van de implementatie 

Analyses en besluiten met betrekking tot de implementatiefase worden te lang 
uitgesteld. De implementatie kent twee periodes: (1) de vervanging van de GBA 
door de BRP en (2) de implementatie van de aanvullende BRP functies, 

We verwachten dat in de voorbereiding bij een aantal gemeenten, een grote 
inspanning nodig is om de koppeling van de GBA en de rest van de gemeentelijke 
informatievoorziening te vervangen door een koppeling met de BRP. De urgentie 
voor de voorbereiding door gemeenten is nog onvoldoende zichtbaar. Indien 
gemeenten te laat beginnen met de voorbereidende werkzaamheden, leidt dit 
onvermijdelijk tot uitloop. 

De periode waarin de aanvullende BRP functies worden geïmplementeerd, is 
geschat op 2 jaar. Dat dit lang genoeg is, is nog niet bevestigd door gemeenten en 
afnemers en er is nog geen volgorde vastgesteld voor het aansluiten op de BRP. 

Wij denken dat een periode van 2 jaar aan de krappe kant is, aangezien niet alle 
gemeenten en afnemers op hetzelfde moment kunnen worden aangesloten op de 
BRP. 

ADVIES 

Op basis van de voorgaande risico's adviseren we de volgende maatregelen: 

1. Zorg ervoor dat het programma de nieuwe BRP zonder verdere 
verstoringen kan af maken. 

Werk aan vertrouwen in de oBRP door een ongestoorde afbouw van een 
basisversie: 1 

a. Spreek met de Tweede Kamer af dat nieuwe wijzigingen pas worden 
doorgevoerd nadat het huidige programma oBRP is afgerond en alle GBA 
aansluitingen zijn uitgefaseerd. Informeer de Tweede Kamer bij 
toekomstige wijzingen vooraf goed over de consequenties. 

b. Laat BRP versie 3.1 formeel door de beheerorganisatie accepteren. Deze 
versie (oplevering oktober 2015) bevat de basisfunctionaliteit van de BRP 
waarmee schaduw gedraaid gaat worden. Hiermee wordt de werking als 
alternatief voor de GBA aangetoond. Dit bevordert het vertrouwen dat een 
werkende oplossing wordt gerealiseerd. 

c. Implementeer BRP versie 3.7, waarin ook L03.9 en het Buitenlands 
Persoonsnummer zijn opgenomen, op de kortst mogelijke termijn zodat de 
de centrale database van de huidige GBA volledig wordt vervangen door die 
van de BRP, 


1 De BRP wordt in 3 hoofdstappen opgeleverd. Versie 3.1 bevat de functionaliteit en de 
initiële vulling om schaduw te draaien. Versie 3.7 bevat de functionaliteit om de GBA-V 
volledig te vervangen. Versie 4.3 bevat de volledige BRP functionaliteit. 
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2. Wees transparant over de planning , inclusief de onzekerheden. 

Maak een nieuwe en complete planning voor de ontwikkel- en 
implementatiefase met een lijst van op te leveren (deel)producten. Wees 
duidelijk over de onzekerheden en werk waar nodig met bandbreedtes. Pas de 
business case aan op basis van de bijgesteide planning en laat daarmee de 
toegevoegde waarde van het programma zien. Bewaak en rapporteer de 
voortgang op basis van de productenlijst en de onzekerheden. Dit bevordert 
de transparantie over de voortgang van het programma naar alle 
belanghebbenden. 

3. Betrek de beheerorganisatie intensief zodat kennis wordt opgebouwd 
en de acceptatie wordt vergroot. 

Zorg voor een gestructureerd acceptatieproces zodat duidelijk is onder welke 
condities de BRP wordt geaccepteerd: 

a. Laat de RvIG een lijst van duidelijke acceptatiecriteria opstellen voor de 
overdracht naar beheer en laat deze door de stuurgroep vaststellen. 

b. Laat de RvIG op korte termijn de oplossing toetsen op beheerbaarheid en 
toekomstvastheid en hierover rapporteren aan de Stuurgroep. 

c. Laat de RvIG op korte termijn deelnemen in het ontwikkelproject, 
bijvoorbeeld door het maken van de beheerdocumentatie. Op deze manier 
kunnen medewerkers de verkregen kennis alvast toepassen. 

d. Laat de beheerorganisatie meewerken om wijzigingen te realiseren onder 
verantwoordelijkheid van het programma. Dit bevordert de inrichting en 
betrokkenheid van de toekomstige beheerorganisatie. 

4. Bereid de implementatieperiode goed voor en voorkom verrassingen 
in de planning. 

Activeer RvIG, afnemers en gemeenten bij de voorbereiding van de 
implementatie: 

a. Vraag RvIG om ten behoeve van de implementatie de acceptatiecriteria van 
gemeenten en afnemers op te stellen. 

b. Laat RvIG instemming vragen van gemeenten en afnemers op deze 
acceptatïecriteria. Stel de instemming van gemeenten en afnemers op de 
acceptatiecriteria in de stuurgroep vast. 

c. Laat de gemeenten en afnemers een implementatieplanning voor de 
aansluiting op de BRP maken en verwerk deze in de implementatieplanning 
van het programma. Stel deze planning vast in de stuurgroep. 

d. Sluit in de duale periode de afnemers en gemeenten aan met dezelfde 
autorisaties ais nu voor de GBA van toepassing zijn. Sta pas na de duale 
periode aanvullende autorisaties toe om meer gegevens te gebruiken dan 
nu verstrekt door de GBA. Wijziging van de autorisaties in die periode 
maakt de implementatie namelijk complexer. 

Met de meeste hoogachting, 

Namens het Bureau ICT toetsing. 

Hans Wanders, 

CIO Rijk 


d. Overweeg om de functionaliteit 'fiatteringsknop' in BRP versie 4.3 terug te 
draaien. Deze functionaliteit maakt het ontwerp ingewikkeld en wordt door 
de Nederlandse Vereniging voor Burgerzaken (NVVB) niet noodzakelijk 
geacht. 
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